مقاله ای درباره امنیت نرم افزار های اجتماعی

[قلب]

[B]جارچی:
♻️ دروغ و راست آنچه در مورد #پیام‌رسان‌های_ایرانی شنیده‌اید
?به قلم سجاد نفیسی، فوق لیسانس امنیت IT دانشگاه صنعتی شریف
این روزها درباره امنیت پیام‌رسان‌های ایرانی مطالب ضد و نقیضی منتشر می‌شود که متاسفانه فاقد بار کارشناسی و تخصصی لازم و آمیخته به اشتباهات فاحش فنی است. بعد از پرسش چندی از نزدیکان، بر این شدم که به زبان علمی ولی حتی‌الامکان ساده مسائل مطرح شده را برای عموم توضیح دهم.
حقیر اطلاع‌رسانی صحیح و بیان حقایق را - فارغ از جهت‌گیری سیاسی و غیرسیاسی - یک وظیفه همگانی می‌دانم و معتقدم ایران جز به تلاش ما نه از شایعات پاک شده و نه کسی غیر از ما آنرا خواهد ساخت. لذا خواهش من این است که با توجه به حجم بالای مطالب غلط در این زمینه و لزوم روشنگری، عزیزان در انتشار این مطالب تا حد امکان کمک نمایند.
1️⃣سوال: آیا پیام‌رسان‌های ایرانی امن هستند؟به غیر از یک مورد به اصطلاح لو دادن شماره موبایل اکانت‌های خاص، تا کنون نقص امنیتی جدی در پیام‌رسان‌های ایرانی گزارش نشده است.[/B]
[B]2️⃣سوال: آیا پیغام‌های من در پیام‌رسان سروش/ایتا/... قابل شنود است؟خیر؛ این دو پیام‌رسان از امن‌ترین پروتکل جهانی جهت ارتباط بهره می‌برند که به طور کامل غیرقابل شنود است. [/B]
[B]این پروتکل در تمامی تراکنش‌های مالی و بانکی، تبادلات ایمیل، ارتباطات متنی و صوتی و ... توسط تمام سازمان‌های و شرکت‌های جهانی از گوگل، میکروسافت، اپل و ... استفاده شده و به امنیت آن اعتماد می‌شود. به واسطه این گستردگی و اتفاق نظر، حتی می‌توان ادعا نمود امنیت این پروتکل از امنیت پروتکلی که تلگرام جهت انتقال مطالب استفاده می‌کند (که پروتکل امنی است) به مراتب بالاتر است.
3️⃣سوال: پس ماجرا تصاویر و فیلم‌های منتشر شده در این زمینه شنود پیام‌های این پیام‌رسان‌ها چیست؟متاسفانه نگاه سطحی و غیرتخصصی باعث انتشار مطالب غلط بسیاری - حتی از سمت افرادی که تخصص IT در زمینه‌های غیر رمزنگاری دارند - شده است. پروتکل SSL که در این پیام‌رسان‌ها (و همه دنیا) جهت امنیت ارتباطات استفاده می‌شود در بستر شبکه غیرقابل شنود است. [/B]
[B]نکته‌ای که باعث تولید این فیلم‌ها و اشتباه نویسندگان و مخاطبین شده است، عدم توجه به یک نکته ریز در تامین امنیت این پروتکل است: این پروتکل تا زمانی امن است که دستگاه شما بتواند سروری که با آن ارتباط دارد را احراز هویت کند.اگر هر موضوعی (مانند نصب یک نرم‌افزار با دسترسی روت) باعث اختلال در این احراز هویت شود، طبعا این پروتکل دیگر امن نخواهد بود. دوستانی که این فیلم‌ها را تهیه کرده‌اند، با نصب نرم‌افزار روی گوشی و آلوده کردن آن توانسته‌اند ترافیک ارتباطی را شنود کنند.[/B]
[B]هیچ کس بدون دسترسی به گوشی شما و نصب نرم‌افزار روی آن، قادر به دیدن محتوای پیام‌ها نیست. طبعا کسی که به گوشی شما دسترسی داشته باشد، خیلی کارهای بهتری می‌تواند بکند: می‌تواند نرم‌افزار پیام‌رسان را با نرم‌افزار دیگری جایگزین کند تا همه پیام‌ها را برای وی ارسال کند. می‌تواند نرم‌افزار جاسوسی و شنود روی گوشی شما نصب کند. و ...
من یک چالش ساده و قابل آزمون برای عموم مطرح می‌کنم:مدعیان، کافیست امنیت نرم‌افزار دیگری مثل ایمیل گوگل (جیمیل) را به همین شیوه تست کنند. خواهید دید که گوگل هم، برای ارسال و دریافت ایمیل‌های شما از همین پروتکل SSL استفاده می‌کند و با نصب نرم‌افزار شنود روی گوشی، می‌توانید متن ایمیل‌ها را به راحتی بخوانید.[/B]
[B]می‌دانیم که جیمیل طوری طراحی شده که به ادعای سازندگان آن امکان شنود ایمیل‌ها حتی توسط دولتها و هکرها وجود نداشته باشد. سوال این است که آیا جیمیل ناامن است؟!
جواب این است که خیر. و همین جواب در مورد پیام‌رسان‌های داخلی هم صدق می‌کند. توضیح فنی این موضوع و نحوه تهیه فیلم ها را می‌توانید در این لینک بخوانید: http://telegra.ph/%D8%A7%D9%86%D8%AA%D9%...-SSL-04-05[/B]
[B]4️⃣سوال: پس آیا کل هیاهو سر هیچ بوده و هیچ مشکلی در پیام‌رسان‌های داخلی وجود نداشته است؟چرا، در مورد پیام‌رسان سروش، یک ضعف امنیتی وجود داشته که برطرف شده است. این ضعف امنیتی به هر کاربری اجازه می‌داد که بتواند شماره موبایل واقعی ادمین یک کانال را به دست بیاورد. مشابه همین ضعف امنیتی، چند سال پیش در یکی از نسخه‌های نرم‌افزار تلگرام هم وجود داشته و برطرف شده است.[/B]
[B]باید دانست که ضعف امنیتی در هر نرم‌افزاری ممکن است وجود داشته باشد و وجود داشته است، اما در حال حاضر ضعف امنیتی دیگری برای پیام‌رسان‌های داخلی منتشر نشده است.@jaarchi[/B]




[B]انتقاد از پیام‌رسان بومی، یا پروتکل جهانی SSL؟به قلم سجاد نفیسی، فوق لیسانس امنیت IT دانشگاه صنعتی شریفApril 05, 2018[/i][align=INHERIT]این مطلب در پاسخ به ادعاهایی که پروتکل SSL را جهت رمزنگاری کافی ندانسته، و در نتیجه پیام‌رسان‌های سروش و ایتا را ناامن می‌خوانند منتشر شده است.
پروتکل SSL که در این پیام‌رسان‌ها (و همه دنیا) جهت امنیت ارتباطات استفاده می‌شود در بستر شبکه غیرقابل شنود است. این پروتکل در تمامی تراکنش‌های مالی و بانکی، تبادلات ایمیل، ارتباطات متنی و صوتی و ... توسط تمام سازمان‌های و شرکت‌های جهانی از گوگل، میکروسافت، اپل و ... استفاده شده و به امنیت آن اعتماد می‌شود.به واسطه این گستردگی و اجماع جهانی، حتی می‌توان ادعا نمود امنیت این پروتکل از امنیت پروتکلی که تلگرام جهت انتقال مطالب استفاده می‌کند (که پروتکل امنی است) به مراتب بالاتر است. با اینهمه در روزهای اخیر در جریان انتقادات داغ به نرم‌افزارهای پیام‌رسانی ایرانی، و به علت چیزی که جز ندانستن و ناآگاهی نام دیگری ندارد، پروتکل SSL ناامن یا ناکافی شمرده می‌شود!!
در مورد پیام‌رسان‌های ایرانی قبلا در این پست تلگرام توضیحات کاملی نوشته‌ام.
در واقع برخی با نصب نرم‌افزار Packet Capture و داشتن اطلاعات ناقص از نحوه عملکرد این نرم‌افزار، تصور می‌کنند که پروتکل SSL قابل شنود است.
پاسخ این است که خیر، این پروتکل قابل شنود نیست، اما شما با نصب این نرم‌افزار روی دستگاهتان (و اجازه نصب گواهی از داخل آن) به دست خود امکان شنود ارتباطات خودتان را فراهم کردید. این کار توسط هیچ کسی غیر از شما و بدون داشتن دسترسی کامل انجام تغییرات در گوشی شما ممکن نیست.
برای درک ساده این موضوع در پروتکل SSL، مثالی می‌زنم:فرض کنید احمد قصد ارسال مطلبی برای بهرام را دارد. طبعا احمد قبل از ارسال باید اطمینان پیدا کند که گیرنده مطلب بهرام است (یعنی وی را احراز هویت کند)اگر جواد بتواند خود را به جای بهرام جا بزند، می‌تواند مطلب احمد را گرفته، خوانده، و سپس برای بهرام ارسال کند. (در اصطلاح فنی این کار را حمله مرد میانی یا Man In The Middle می‌خوانند)پروتکل SSL نسبت به حمله مرد میانی مقاوم است. یعنی هیچ کس نمی‌تواند خود را به جای فرد دیگری جا بزند. این کار از طریق ساختاری به نام PKI انجام می‌گیرد که عملکردی شبیه یک مرکز صدور کارت ملی دارد: همانطور که هر فردی در جامعه با توجه به کارت ملی شناسایی می‌شود، هر موجودیتی در SSL از طریق گواهی(certificate) خود شناسایی می‌شود.اما این تا زمانی است که گوشی شما آلوده نشده باشد و بتواند گواهی صحیح را از جعلی تشخیص دهد. در سیستم عامل اندروید در صورتیکه یک گواهی جعلی روی گوشی قرار داشته باشد، یک پیغام هشدار در بالای صفحه نمایان می‌شود.
عملکرد نرم‌افزار Packet Capture نیز به همین صورت است: نصب یک گواهی جعلی و سپس باز کردن پیام‌ها از طریق آن. دقت کنید که چنین کاری بدون دسترسی به گوشی شما ممکن نبوده و حتی از جهت اهمیت، سیستم عامل اندروید به صورت مجزا از شما جهت نصب این گواهی جعلی تایید می‌گیرد.
در زیر تصویری از شنود جیمیل توسط همین برنامه را می‌بینید. تصویری که در بسیاری از پست‌ها در مورد سروش و ایتا به عنوان مدرک ناامن بودن آنها منتشر می‌شود!undefined


[/align]

[سعدی]

جناب قلب گرامی
چرا یه مدت اینقدر تاکید و فشار برای انتقال سرورهای تلگرام به داخل ایران وجود داشت؟

[قلب]

سلام



▪️ آیا تلگرام، یک پیام‌رسان امن است؟


در نظر عامه مردم، تلگرام یک پیام‌رسان امن است؛ امنیت اپلیکشین تلگرام از سه منظر «ذخیره سازی اطلاعات روی سرور»، «امکان چت امن ( secret chat)» و «پروتکل امنیتی این پیام‌رسان» قابل ارزیابی است.


▪️ذخیره اطلاعات روی سرور
برای درک این بخش، نگاهی به مکانیزم سایر پیام‌رسان‌ها بیندازیم. در پیام‌رسان‌های واتس‌اپ و الو، اطلاعات روی سرور مرکزی ذخیره نمی‌شوند. یعنی به محض تحویل دادن به طرف مقابل چت، از سرور پاک شده و در آن مدت کوتاه نگه‌داری هم بصورت رمزنگاری شده است؛ این سطح از امنیت قابل قبول است زیرا مهاجم درصورت دسترسی فیزیکی به سرور، با پیام‌های رمزنگاری شده روبرو می‌شود. اما چون اطلاعات در گوشی طرفین چت ذخیره می‌شود، پیام رسان امکان مولتی پلتفرم را ندارد. یعنی در حالی‌که برنامه روی گوشی نصب است، امکان اتصال به نسخه دسکتاپ بصورت مستقل و بدون نیاز به گوشی و آنلاین بودن گوشی شدنی نیست. اما برخلاف تصور عامه که مزیت رقابتی تلگرام، امنیت نیست بلکه سرعت و مولتی‌پلتفرمینگ است که این لازمه‌اش ذخیره سازی اطلاعات روی سرور است آن هم بصورت رمزنگاری نشده؛ و این یعنی ضعف امنیتی!


▪️چت امن(secret chat)
تلگرام برای جبران این ضعف امنیتی جدی، امکان چت امن یا همان secret chat را اضافه نمود که بصورت رمزگذاری سراسری (end to end encription) کار می‌کند؛ یعنی پیام‌ها و اطلاعات درمحل تولید پیام رمزنگاری شده و درمحل تحویل رمزگشایی می‌شود و همچنین اینکه روی سرور ذخیره نمی‌شود. البته به‌نظر می‌رسد تلگرام این امکان "کم‌مصرف" را برای اقناع منتقدین کارشناسان امنیتی گذاشته است و معمولا کسی از این آپشن استفاده نمی‌کند. چون هم نسبتا کند است و هم در نسخه های دسکتاپ و وب وجود ندارد. البته جایزه معروف تلگرام برای شکستن رمز نیز برای همین قسمت بوده است.


▪️پروتکل امنیتی تلگرام
غم‌انگیز ترین قسمت ماجرا، پروتکل امنیتی است که در این پیام‌رسان مورد استفاده قرار گرفته است و یکی از عوامفریبی‌های تلگرام است. تلگرام برای کل برنامه (به جز قسمت secret chat) از یک پروتکلِ خودساخته (یا به‌عبارتی من‌درآوردی) به نام mtproto استفاده کرده است. پروتکل های من‌درآوردی نقطه افتراق متخصصان رمزنگاری و افراد آکادمیک از عوام است. افرادی که در حوزه‌های امنیتی تخصص ندارن، عموما اینگونه تصور می‌کنند که داشتن پروتکل امنیتی خودساخته، یک ویژگی مثبت است در صورتی که کاملا اشتباه است زیرا طبق اصول امنیتی به جای ساخت پروتکل های اختراعی که توسط متخصصان بررسی و واکاوی نشده است باید از پروتکل های تست شده و استاندارد استفاده کرد. چرا که تا زمانی که پروتکل توسط دانشمندان حوزه رمزنگاری (cryptography) بررسی و اثبات ریاضی و الگوریتمی نشده است هیچ اثباتی درمورد امن بودن پروتکل وجود ندارد.


➕نتیجه آنکه برخلاف گفته های شرکت تلگرام این برنامه اصلا روی امنیت تمرکزی نداشته و بیشتر کارایی و سرعت مدنظرش بوده است. به همین خاطر است که طبق نظر متخصصان امنیت پیام‌رسان‌هایی را می‌توان امن تلفی کرد که از پروتکل های امنیتی شناخته شده استفاده میکنند مانند SSL که بسیار پرکاربرد است و حتی غولی به نام گوگل نیز از آن استفاده می‌کند.


?امید بهارلو
کارشناس ارشد مهندسی امنیت اطلاعات
دانشگاه صنعتی شریف


@SotunAzad


@Fars_Plus

---

(۱۷/فروردین/۹۷ ۲۱:۲۳)سعدی نوشته است:  جناب قلب گرامی
چرا یه مدت اینقدر تاکید و فشار برای انتقال سرورهای تلگرام به داخل ایران وجود داشت؟

سلام
برای اینکه بیشترین کاربران تلگرام از ایران بودن و برای امکان مدیریت محتوا و پیگیری شکایات مردمی و حذف کانالهای خلاف قانون ایران


اطلاعات یک جامعه باید دست خود اون جامعه باشه و نباید اطلاعات مردم ایران به دست کشورهای غربی بیوفته و این یک اصله


البته اصراری هم به انتقال سرورها نبود بلکه بحث همکاری تلگرام با قانون داخلی ایران مطرح بود


اهمیت تلگرام به خاطر وجود کانال هاست و به خاطر اثرگذاری کانالها باید طبق قوانین ایران باشه

[Bidel.s]

پروتکل SSL فقط جلوی حمله های MIM رو می گیره
که اون رو هم اگه یه سر به مقر قدیم بایت خور و آشیانه (توی بازاردوم نازی آباد) بزنه صاحب این مقاله متوجه می شه چقدر ساده قابل شکستن هستن

ضعف اصلی شنود از طرف سرور هست. یعنی شما نمی خواد صاحب پروژه سروش بتونه پیام شما و یکی رو دیگه دسترسی داشته باشه. همونطور که گفتم دولت ایران تو این قبیل کثافت کاری ها امتحان خودشو پس داده

---

نقل قول:

سلام

برای اینکه بیشترین کاربران تلگرام از ایران بودن و برای امکان مدیریت محتوا و پیگیری شکایات مردمی و حذف کانالهای خلاف قانون ایران

اطلاعات یک جامعه باید دست خود اون جامعه باشه و نباید اطلاعات مردم ایران به دست کشورهای غربی بیوفته و این یک اصله

البته اصراری هم به انتقال سرورها نبود بلکه بحث همکاری تلگرام با قانون داخلی ایران مطرح بود

اهمیت تلگرام به خاطر وجود کانال هاست و به خاطر اثرگذاری کانالها باید طبق قوانین ایران باشه

پروتکلی که تلگرام استفاده می کنه MTProto هست که خود تلگرام هم قابلیت شنود پیام ها براش سلب می شه
ولی می تونستن با تکنیک های تراوا تمام اطلاعات رو بدزدن ولی ظاهرا تا الان این قضیه انجام نشده چون سورس اپلیکشین روی نت منتشر شده و صدها کانتریبیوتر روی پروژه هستن و بررسی می کنن کد رو
چیزی که توی موبوگرام رعایت نشد و از همون قابلیت روحش مشخص بود که چی می کنه

پروتکل Http که توی مقاله ذکر شده کاملا نامناسب برای یه سیستم پیام رسانی هست. هم از نظر امنیت هم از نظر کیفیت

[سعدی]

(۱۷/فروردین/۹۷ ۲۳:۳۴)قلب نوشته است:   و پیگیری شکایات مردمی

دقیقا مسئله همینه.
دولت باید امکان پیگیری شکایت رو داشته باشه، پس باید بتونه به پیامها دسترسی داشته باشه. نه از طریق استخدام یک گروه هکر، بلکه از طریق دسترسی مستقیم به سرور. اما باید این اطمینان ایجاد بشه که این دسترسی، کاربردی فراتر از دستگیری کلاهبردارها و ... پیدا نمی کنه.

راه دفاع از پیام رسانهای داخلی این نیست که امکان دسترسی به پیامها رو غیر ممکن معرفی کنیم، بلکه باید در جامعه ایجاد اعتماد بشه تا مطمئن بشن که استفاده نامناسبی از اطلاعاتشون نمیشه.